പങ്കിട്ട Wi-Fi വഴി ബ്രൗസറിനെ നിയന്ത്രിക്കാൻ അനുവദിക്കുന്ന Android- നായുള്ള Firefox-ൽ ഒരു അപകടസാധ്യത

ആൻഡ്രോയിഡിനുള്ള ഫയർഫോക്സിൽ തിരിച്ചറിഞ്ഞു ഗുരുതരമായ ദുർബലത പ്രോട്ടോക്കോൾ നടപ്പിലാക്കുന്നതിൽ എസ്എസ്ഡിപി, ഒരു പ്രാദേശിക നെറ്റ്‌വർക്കിൽ നെറ്റ്‌വർക്ക് സേവനങ്ങൾ കണ്ടെത്താൻ ഉപയോഗിക്കുന്നു. UPnP XML "LOCATION" എന്ന സന്ദേശം ഉപയോഗിച്ച് Firefox അന്വേഷണ അഭ്യർത്ഥനകളോട് പ്രതികരിക്കാൻ ഒരേ ലോക്കൽ അല്ലെങ്കിൽ വയർലെസ് നെറ്റ്‌വർക്കിൽ സ്ഥിതി ചെയ്യുന്ന ഒരു ആക്രമണകാരിയെ ദുർബലത അനുവദിക്കുന്നു. ഉദ്ദേശ്യം കമാൻഡുകൾ, ഇതുപയോഗിച്ച് നിങ്ങൾക്ക് ബ്രൗസറിൽ ഒരു അനിയന്ത്രിതമായ URI തുറക്കാനോ മറ്റ് ആപ്ലിക്കേഷനുകളുടെ ഹാൻഡ്‌ലർമാരെ വിളിക്കാനോ കഴിയും.

റിലീസ് വരെ പ്രശ്നം സ്വയം പ്രത്യക്ഷപ്പെടുന്നു Android 68.11.0-നുള്ള Firefox ആൻഡ്രോയിഡ് 79-നുള്ള ഫയർഫോക്സിന്റെ പതിപ്പിൽ ഒഴിവാക്കി, അതായത്. Android-നുള്ള Firefox-ന്റെ പഴയ ക്ലാസിക് പതിപ്പുകൾ അപകടസാധ്യതയുള്ളതും അപ്‌ഗ്രേഡ് ചെയ്യേണ്ടതുമാണ് പുതിയ പതിപ്പ് ഫയർഫോക്‌സ് ക്വാണ്ടം സാങ്കേതികവിദ്യയിലും ഒരു കൂട്ടം ലൈബ്രറികളിലും നിർമ്മിച്ച GeckoView എഞ്ചിൻ ഉപയോഗിക്കുന്ന ബ്രൗസർ (Fenix). മോസില്ല ആൻഡ്രോയിഡ് ഘടകങ്ങൾ. ഫയർഫോക്സിന്റെ ഡെസ്ക്ടോപ്പ് പതിപ്പുകളെ ഈ പ്രശ്നം ബാധിക്കില്ല.

ദുർബലതാ പരിശോധനയ്ക്കായി തയ്യാറാക്കി ചൂഷണത്തിന്റെ പ്രവർത്തന മാതൃക. ഉപയോക്താവിന്റെ ഭാഗത്തുനിന്ന് ഒരു നടപടിയും ഇല്ലാതെയാണ് ആക്രമണം നടത്തുന്നത്; Android-നുള്ള ദുർബലമായ Firefox ബ്രൗസർ മൊബൈൽ ഉപകരണത്തിൽ പ്രവർത്തിക്കുന്നുണ്ടെങ്കിൽ മതി, ഇര ആക്രമണകാരിയുടെ SSDP സെർവറിന്റെ അതേ സബ്‌നെറ്റിൽ തന്നെയാണെങ്കിൽ.

പ്രാദേശിക നെറ്റ്‌വർക്കിൽ നിലവിലുള്ള മൾട്ടിമീഡിയ പ്ലെയറുകളും സ്മാർട്ട് ടിവികളും പോലുള്ള പ്രക്ഷേപണ ഉപകരണങ്ങളെ തിരിച്ചറിയാൻ Android- നായുള്ള Firefox ആനുകാലികമായി SSDP സന്ദേശങ്ങൾ ബ്രോഡ്‌കാസ്റ്റ് മോഡിൽ (മൾട്ടികാസ്റ്റ് UDP) അയയ്‌ക്കുന്നു. ലോക്കൽ നെറ്റ്‌വർക്കിലെ എല്ലാ ഉപകരണങ്ങളും ഈ സന്ദേശങ്ങൾ സ്വീകരിക്കുകയും പ്രതികരണം അയയ്‌ക്കാനുള്ള കഴിവുമുണ്ട്. സാധാരണയായി, UPnP- പ്രാപ്തമാക്കിയ ഉപകരണത്തെക്കുറിച്ചുള്ള വിവരങ്ങൾ അടങ്ങിയ ഒരു XML ഫയലിന്റെ സ്ഥാനത്തേക്ക് ഉപകരണം ഒരു ലിങ്ക് നൽകുന്നു. ഒരു ആക്രമണം നടത്തുമ്പോൾ, XML-ലേക്കുള്ള ഒരു ലിങ്കിന് പകരം, Android-നുള്ള ഇന്റന്റ് കമാൻഡുകൾ ഉപയോഗിച്ച് നിങ്ങൾക്ക് ഒരു URI പാസാക്കാൻ കഴിയും.

ഇന്റന്റ് കമാൻഡുകൾ ഉപയോഗിച്ച്, നിങ്ങൾക്ക് ഉപയോക്താവിനെ ഫിഷിംഗ് സൈറ്റുകളിലേക്ക് റീഡയറക്‌ട് ചെയ്യാം അല്ലെങ്കിൽ ഒരു xpi ഫയലിലേക്ക് ഒരു ലിങ്ക് കൈമാറാം (ആഡ്-ഓൺ ഇൻസ്റ്റാൾ ചെയ്യാൻ ബ്രൗസർ നിങ്ങളോട് ആവശ്യപ്പെടും). ആക്രമണകാരിയുടെ പ്രതികരണങ്ങൾ ഒരു തരത്തിലും പരിമിതമല്ല എന്നതിനാൽ, ഉപയോക്താവിന് തെറ്റ് വരുത്തി ക്ഷുദ്ര പാക്കേജ് ഇൻസ്റ്റാൾ ചെയ്യാൻ ക്ലിക്ക് ചെയ്യുമെന്ന പ്രതീക്ഷയിൽ അയാൾക്ക് ഇൻസ്റ്റാളേഷൻ ഓഫറുകളോ ക്ഷുദ്ര സൈറ്റുകളോ ഉപയോഗിച്ച് ബ്രൗസറിൽ പട്ടിണി കിടക്കാൻ ശ്രമിക്കാം. ബ്രൗസറിൽ തന്നെ അനിയന്ത്രിതമായ ലിങ്കുകൾ തുറക്കുന്നതിനു പുറമേ, മറ്റ് ആൻഡ്രോയിഡ് ആപ്ലിക്കേഷനുകളിൽ ഉള്ളടക്കം പ്രോസസ്സ് ചെയ്യുന്നതിന് ഇന്റന്റ് കമാൻഡുകൾ ഉപയോഗിക്കാം, ഉദാഹരണത്തിന്, നിങ്ങൾക്ക് ഒരു ഇമെയിൽ ക്ലയന്റിൽ ഒരു അക്ഷര ടെംപ്ലേറ്റ് തുറക്കാം (URI mailto:) അല്ലെങ്കിൽ ഒരു കോൾ ചെയ്യുന്നതിനായി ഒരു ഇന്റർഫേസ് സമാരംഭിക്കാം (യുആർഐ ടെൽ:).

അവലംബം: opennet.ru